Хейз, Говард

Г. М. Хейз совместно с С. Е. Таваресом[6] исследовал стойкость шифра CAST по отношению к линейному криптоанализу. Они заключили, что достаточно легко подобрать S-блоки, чтобы при этом эффективная реализация алгоритма CAST была явно к нему устойчива. Г. М. Хейз и С. Е. Таварес определили теоретическую границу стойкости к этому анализу, дававшую минимальную нелинейность используемых S-блоков. Результаты выявили, что 64-разрядный шифр CAST с 64-битным ключом на основе 8х32 S-блоков стоек к линейному криптоанализу с умеренным количеством раундов. Дальнейший их анализ показал, что достаточное количество нелинейных S-блоков легко найти простой случайной генерацией. Они получили, что создание эффективных блочных шифров, устойчивых к линейному криптоанализу, является прямым использованием процедуры проектирования алгоритмов шифрования CAST.

Хейз также исследовал аспекты[7] безопасности блочного шифра CAST-256 с акцентом именно на диффузионных свойствах и сопротивляемости шифра к линейному и дифференциальному криптоанализу. Выводы из его анализа показывают, что в отношении этих свойств, шифр является безопасным, хотя это и не позволяет утверждать, что любой шифр имеет гарантированную стойкость. Чтобы более удостовериться в безопасности CAST-256, его можно проанализировать на другие особенности, а также на других методах криптоанализа. Сюда могут включаться такие особенности, как информационно-теоретические характеристики шифров и атак, например, на основе подобранного ключа, дифференциальные атаки более высокого порядка и линейно-дифференциальные атаки. Кроме того, в анализ можно включить более точный учёт влияния комбинирования операций сложения и вычитания. Тем не менее, такой полный анализ, скорее всего, выявит другие трудноразрешимые задачи.

Что касаемо устойчивости CAST-подобных шифров к линейному криптоанализу, Дж. Ли, Г. М. Хейз, и С. Е. Таварес[8] вывели границу вероятности удовлетворения линейной аппроксимации на основе минимальной нелинейности S-блоков, используемых в раундовой функции CAST-подобного шифра. Оказалось, что для случайно сгенерированных 8х32 S-блоков, 64-разрядный CAST-подобный шифр, состоящий из 12 раундов имеет, более высокую степень устойчивости к линейным атакам, чем DES с 16 раундами.

В анализе стойкости CAST-подобных шифров к дифференциальному криптоанализу, они использовали метод прогнозирования записей в таблице XOR раундовой функции F CAST-подобных шифров с использованием случайно генерируемых S-блоков. На основе этого метода, Дж. Ли, Г. М. Хейз, и С. Е. Таварес показали, что при использовании случайно сгенерированные S-блоков и простой процесс отбора лучшая из доступных итеративных характеристик — 2-раундовая итеративная характеристика. Для 64-разрядных CAST-подобных алгоритмов с использованием 8х32 S-блоков, наилучшая 2-раундовая итеративная характеристика даёт вероятность 2⁻¹⁴ и это значение почти в 70 раз меньше, чем у наилучшей 2-раундовой итеративной характеристики в DES, которая даёт вероятность 1/234. В результате, восьмираундовая характеристика CAST-подобных шифров позволит снизить вероятность возникновения правильных пар до 2⁻⁵⁶ — значение, которое значительно лучше, чем в 15 раундовой версии DES.

Шифр CIKS-1 — быстрый, аппаратно-ориентированный шифр с основной защитной компонентой — перестановками, зависящими от данных. Это блочный шифр с размером блока 64-бит. Шифр состоит из 8 раундов, каждый из которых имеет 32-разрядный подключ из общего ключа размером 256-бит.

В оригинальной статье по CIKS-1, анализ авторов о возможности дифференциальных атак на шифр показал, что такая атака будет иметь сложность как минимум 2⁶⁴ (требуемое количество подобранных открытых текстов). Брайан Кидни, Говард Хейз и Теодор Норвелл[9] предложили дифференциальную атаку со сложностью около 2⁵⁶. Чтобы доказать концепцию этой атаки, её осуществили на трёхраундовой версии шифра. Эта атака показала, что фактический ключ может быть определён по двум случайным ключам и ключам, отличающимся от них на один бит. Хотя предварительные испытания этой атаки на трёхраундовой версии шифра CIKS-1 выглядели весьма многообещающими, Брайан Кидни, Говард Хейз и Теодор Норвелл рассмотрели и расширенную атаку — на шестираундовую версию шифра — и обнаружили теоретическую сложность приблизительно 2³⁵.

Говард Хейз и Майкл Фёрлонг[10] рассмотрели применение атак по времени к симметричному блочному шифру CIKS-1. Анализ мотивируется возможностью того, что достаточно простая используемая в CIKS-1 реализация перестановок, зависящих от данных, приведет к тому, что шифрование будет опираться на время, которое является функцией данных. Такие реализации возможны в программных средах, как правило, во встраиваемых системах, таких как смарт-карты.

Перестановки, зависящие от данных (ПЗД) — уязвимая компонента шифра. Существует прямая связь между числом замен, которые происходят в блоке ПЗД и весом Хэмминга контрольного вектора. Компонента ПЗД не меняет вес Хэмминга у данных, на которые она действует.

Атаки по времени на CIKS-1 применимы для тех реализаций, в которых перестановки, зависящие от данных, выполняются за непостоянные время, и это представляет возможным точное измерение времени, связанного с каждым шифрованием. Основополагающим принципом атаки является то, что один и тот же ключ используется для шифрования достаточного количества данных; перестановки, зависящие от данных и ключа, будут раскрывать информацию, которая напрямую связана с весом Хэмминга расширенного ключа.

Атаки по времени полагаются на точные измерения времени, требуемого на отдельные процедуры шифрования. Эту информацию достаточно трудно получить в многопоточной среде, такой как большинство современных операционных систем общего назначения. Тем не менее, вполне возможно, что атака может быть модифицирована и осуществлена в среде, где измерения времени зашумлены. В любом случае, Говард Хейз и Майкл Фёрлонг показывали уязвимость, о которой проектировщики должны были быть осведомлены в ходе реализации CIKS-1, как, впрочем, и проектировщики любого шифра, использующего перестановки, зависящие от данных, как криптологически базисный элемент. К счастью, эта проблема может быть устранена путём использования перестановок, зависящих от данных, происходящих за постоянное время, таким образом защищая шифр от атак по времени.

Брайан Кидни, Говард Хейз и Теодор Норвелл[11] показали, что из-за выбора базовых элементов с ограниченным влиянием на вес Хэмминга шифрованных данных, шифр CIKS-1 зависит от веса подключей, производя тем самым изменение веса данных. Это означает, что класс маловесных ключей следует считать классом уязвимых ключей для шифра. Эти ключи производят выходные данные, которые легко обнаружить с помощью двух тестов. Используя этот факт, предполагается, что атака будет различать первый подключ, резко уменьшая его энтропию. Предварительное тестирование было проведено на атаке, показавшей уменьшение области поиска для первого подключа с пределах расстояния Хэмминга равном двум от реального веса. На данный момент, атака не была расширена для полного нахождения фактического подключа. Кроме того, будет проведено больше исследований по расширению этой атаки для полной восьмираундовой версии шифра.

Говард Хейз обнаружил[12], что для некоторых ключей RC5 может быть значительно более уязвим для линейного криптоанализа, чем предполагалось ранее. Хотя этот анализ и не представляет практической угрозы безопасности номинальной реализации RC5 — или длина открытого текста требуется слишком большой, или вероятность выбора уязвимого ключа слишком мала — он подчеркивает важность алгоритма генерации ключей и их неэквивалентности в RC5.

Хелена Хандшу и Говард Хейз[13] показали, в некоторых деталях, как получить расширенную таблицу секретных ключей RC5-32/12/16 применяя атаку по времени с использованием только около 2²⁰ операций шифрования, при этом создавая сложность по времени 2²⁸ в лучшем случае и 2⁴⁰ в худшем случае. Это подтверждает утверждение Кохера о том, что RC5 находится под некоторым риском на платформах, где циклический сдвиг происходит за переменное количество времени, и предполагает, что нужно быть очень осторожными при реализации RC5 на таких платформах. Добавление случайного времени к каждому шифрованию не поможет, так как не будет иметь большого влияния на дисперсию вычислений. Поэтому они предложили добавить нужное количество «пустых» циклических сдвигов, целью которых является достижение постоянного времени для каждого шифрования независимо от начального общего количества циклических сдвигов.